Безпека хостингу для клієнта зазвичай помітна лише тоді, коли щось перестає працювати. До цього більшість внутрішніх процесів залишаються невидимими: хто має доступ до даних, як компанія реагує на інциденти, коли переглядає ризики та що відбувається після виявлення проблеми.
Нещодавно український хостинг-провайдер і реєстратор доменів Cityhost.ua пройшов зовнішню перевірку та отримав сертифікати ДСТУ ISO/IEC 27001 і ДСТУ ISO/IEC 27701. Аналогічний набір сертифікатів в Україні мають до п’яти хостинг-провайдерів.
Як працюють стандарти ISO у хостинг-компанії, розповідає Рівтін Максим, засновник Cityhost.ua
ISO/IEC 27001 регламентує управління інформаційною безпекою на рівні всієї організації. Йдеться про розподіл відповідальності, оцінку ризиків, контроль доступів, підготовку до інцидентів і регулярний перегляд установлених правил. Технології тут — лише одна зі складових поряд із діями працівників і внутрішніми процедурами.
ISO/IEC 27701 розширює цей підхід на роботу з інформацією, пов’язаною з приватністю. Для хостинг-провайдера це стосується середовища, де зберігаються або передаються сайти, пошта, резервні копії, облікові записи та інші клієнтські дані.
Під час аудиту, зокрема, перевіряють:
- як компанія надає, змінює та відкликає права доступу;
- хто відповідає за реагування на інциденти;
- як документують причини й наслідки збоїв;
- чи переглядають ризики та заходи захисту;
- що відбувається з доступами після зміни посади або звільнення працівника.
Останній пункт добре показує різницю між формальним і системним підходом. Доступ, який колись був потрібен для певного завдання, з часом може стати зайвим. Якщо такі права не переглядати, вони накопичуються. У системі, побудованій за принципами ISO, доступи мають відповідати поточним обов’язкам працівника.
Читайте також: ДСТУ ISO/IEC 27001 та ДСТУ ISO/IEC 27701: що означає сертифікація Cityhost для клієнтів
Чому одного технічного захисту вже недостатньо
Картина кіберризиків постійно змінюється. За даними Verizon Data Breach Investigations Report 2026, експлуатація вразливостей програмного забезпечення стала найпоширенішим початковим шляхом проникнення.
Для провайдерів це означає, що концентруватися лише на паролях, резервному копіюванні чи одному типі атак недостатньо. Захист залежить від того, наскільки пов’язані між собою технічні засоби, правила доступу, робота персоналу та сценарії відновлення після інциденту.
Сама сертифікація не гарантує, що компанія ніколи не зіткнеться зі збоєм, помилкою працівника або кібератакою. Її сенс в іншому: зовнішня перевірка підтверджує, що питання безпеки не вирішуються ситуативно, а входять до керованої системи.
У Cityhost зазначають, що процедури контролю доступів, оцінки ризиків і реагування діяли ще до проходження аудиту. Отримані сертифікати стали зовнішнім підтвердженням уже впроваджених процесів, а для клієнтів — додатковим критерієм під час вибору хостинг-провайдера.
